2025年AWS认证AWSControlTower检测护栏类型与工作机制专题试卷及解析.pdfVIP

2025年AWS认证AWSCONTROLTOWER检测护栏类型与工作机制专题试卷及解析1

2025年AWS认证AWSControlTower检测护栏类型与

工作机制专题试卷及解析

2025年AWS认证AWSControlTower检测护栏类型与工作机制专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、AWSControlTower中的检测护栏（DetectiveGuardrail）主要作用是什么？

A、阻止违反策略的操作

B、监控和检测合规性问题

C、自动修复配置错误

D、管理IAM用户权限

【答案】B

【解析】正确答案是B。检测护栏的核心功能是持续监控资源配置，识别不符合预

设策略的情况并发出警报。A选项描述的是预防护栏（PreventiveGuardrail），C选项属

于主动护栏（ProactiveGuardrail），D选项是IAM服务功能。知识点：ControlTower

三种护栏类型区别。易错点：容易混淆检测与预防护栏的功能边界。

2、以下哪种AWS服务是ControlTower检测护栏的主要技术实现基础？

A、AWSConfig

B、AWSCloudTrail

C、AmazonGuardDuty

D、AWSSecurityHub

【答案】A

【解析】正确答案是A。AWSConfig提供持续的资源监控和合规性评估，是检测护

栏的核心支撑服务。B选项记录API调用历史，C选项侧重威胁检测，D选项聚合安

全发现。知识点：ControlTower与AWS服务集成关系。易错点：可能误选CloudTrail

因其也涉及监控功能。

3、当检测护栏发现违规时，默认的通知机制是什么？

A、发送SES邮件

B、发布SNS消息

C、创建CloudWatch警报

D、更新AWSHealthDashboard

【答案】B

【解析】正确答案是B。ControlTower通过SNS主题发送护栏违规通知，可配置

邮件、短信等订阅方式。A选项需要额外配置，C选项是可选集成，D选项用于服务事

件通知。知识点：护栏通知流程。易错点：可能混淆默认通知与可选通知方式。

4、检测护栏的评估频率通常设置为多久？

2025年AWS认证AWSCONTROLTOWER检测护栏类型与工作机制专题试卷及解析2

A、实时

B、5分钟

C、24小时

D、可自定义

【答案】D

【解析】正确答案是D。ControlTower允许根据需求自定义检测护栏的评估周期，

从分钟级到天级不等。A选项是预防护栏特性，B/C是常见但非固定值。知识点：护栏

配置灵活性。易错点：误认为检测频率是固定值。

5、以下哪种资源状态变化会触发检测护栏评估？

A、资源创建

B、资源删除

C、配置变更

D、以上都是

【答案】D

【解析】正确答案是D。检测护栏会监控资源的全生命周期事件，包括创建、修改

和删除操作。A/B/C都是触发场景。知识点：护栏监控范围。易错点：可能忽略删除

操作也会触发评估。

6、ControlTower检测护栏的合规性评估结果存储在哪里？

A、S3存储桶

B、DynamoDB表

C、AWSConfig聚合器

D、RDS数据库

【答案】C

【解析】正确答案是C。检测护栏利用AWSConfig聚合器集中存储多账户的合规

性数据。A/B/D需要额外配置。知识点：数据持久化机制。易错点：可能误选S3因其

常用于日志存储。

7、当检测护栏发现S3存储桶公开访问时，ControlTower会采取什么默认动作？

A、自动加密存储桶

B、删除公开访问权限

C、记录违规但不干预

D、暂停账户访问

【答案】C

【解析】正确答案是C。检测护栏仅负责检测和报告，不会自动执行修复操作。A/B

是主动护栏功能，D过于极端。知识点：护栏被动特性。易错点：可能混淆检测与主动

护栏的行为差异。

2025年AWS认证AWSCONTROLTOWE